Zusammenfassung

  • RFC 9649 definiert die gemeinsame WebP-Grammatik und Rekonstruktion, doch ein gültiger Container bestätigt weder Metadaten noch Herkunft, sichere Verarbeitung oder die tatsächlich beobachtete Darstellung.
  • Leser sollen unbekannte Chunks ignorieren; Schreiber sollen sie bewahren, sofern sie diese nicht bewusst verändern. Nicht verstehen, verwahren und billigen sind getrennte Handlungen.
  • Ein belastbarer Nachweis verbindet Eingangsbytes und Chunk-Inventar mit Decoder-Version und Grenzen, Metadatenauswahl, Pixeln und Frames, Derivatbytes sowie dem ausgelieferten Ergebnis.

Zwei Ordnungen für zwei Verantwortungen

RFC 9649 gibt WebP eine stabile öffentliche Spezifikation und registriert image/webp. Ein RIFF-Container kann verlustbehaftete VP8-Bilddaten, einen verlustfreien Bitstrom, Transparenz, Farbprofile, Animation, EXIF, XMP und anwendungsspezifische Chunks transportieren. Das ist eine wichtige Interoperabilitätsgrenze: Unabhängige Produzenten und Leser können aus Bytes eine gemeinsame Leinwand rekonstruieren.

Im erweiterten Format müssen die für Bildaufbau und Farbkorrektur benötigten Chunks in einer festgelegten Reihenfolge erscheinen. Je nach Datei gehören VP8X, ICCP, ANIM, ANMF, ALPH, VP8 und VP8L dazu. Ist diese Abfolge für die Rekonstruktion falsch, soll der Leser scheitern.

Metadaten und unbekannte Chunks besitzen andere Freiheiten. EXIF, XMP und anwendungsspezifische Daten können außerhalb der Rekonstruktionsordnung stehen. Unbekannte Chunks dürfen am Dateiende oder am Ende einer Animationsframe-Nutzlast vorkommen. Ein Leser soll sie ignorieren. Ein Schreiber soll sie in ihrer ursprünglichen Reihenfolge bewahren, wenn er sie nicht absichtlich verändern will.

Damit werden zwei Ordnungen sichtbar. Die Rekonstruktionsordnung sagt, was ein Decoder benötigt, um das Bild zu erzeugen. Die Verwahrungsordnung sagt, welche angekommenen Daten über eine Transformation hinweg erhalten bleiben müssen. Beide können sich überschneiden, sind aber nicht identisch. Wer nur die sichtbaren Pixel prüft, kann eine korrekte Rekonstruktion und einen gebrochenen Verwahrungsweg zugleich bestätigen.

Unbekannt ist eine Zustandsbeschreibung, kein Urteil

Die asymmetrische Regel schützt Erweiterbarkeit. Ein heutiger Leser kann eine Datei mit einer künftigen Erweiterung darstellen, ohne vorzugeben, die neue Bedeutung zu verstehen. Ein Editor kann sichtbare Inhalte ändern, ohne fremde Anwendungsinformationen nebenbei zu zerstören.

Doch Ignorieren bedeutet nicht, dass ein Chunk harmlos oder bedeutungslos ist. Bewahren bedeutet nicht, dass seine Aussage wahr oder autorisiert ist. Wird ein unbekannter Chunk einem weiteren Interpreter übergeben, kann eine neue Angriffsfläche entstehen. Wird er entfernt, kann genau die Information verloren gehen, die später Herkunft, Rechte oder eine fachliche Erweiterung belegt.

Jeder Transformationsdienst entscheidet mindestens dreimal: Welche Bytes versteht er? Welche trägt er unverstanden weiter? Welche entfernt, verschiebt oder schreibt er neu? Der Hash der Ausgabedatei identifiziert das Ergebnis. Er erklärt die Entscheidungen nicht. Dafür braucht es einen Vergleich der Chunk-Inventare und eine benannte Befugnis für jede Abweichung.

Metadatenstruktur ist keine Beglaubigung

WebP kann EXIF und XMP enthalten. RFC 9649 sagt, dass von jedem Typ höchstens ein Chunk vorhanden sein sollte. Bei Duplikaten darf ein Leser alles nach der ersten Instanz ignorieren. Schon diese Regel ermöglicht verschiedene semantische Ergebnisse: Ein Werkzeug übernimmt den ersten Block, ein anderes erzeugt einen kanonischen Block, ein drittes entfernt sämtliche Metadaten. Das sichtbare Bild kann gleich bleiben.

Die Exif-Spezifikation der CIPA beschreibt eine Feldstruktur. Die XMP-Spezifikationen von Adobe beschreiben ein erweiterbares Modell und Einbettungswege. Weder Kameraname noch Aufnahmezeit, Autor, Ort, Rechte oder Bearbeitungsverlauf werden durch ihre bloße Ablage authentifiziert. Sie bleiben Behauptungen, deren Quelle, Signaturkontext und Verwahrung getrennt zu prüfen sind.

Lu Hengs Realitätsschichten liefern dafür eine brauchbare Ordnung. Gespeicherte Bytes, geparste Felder, behauptete Herkunft, decodierte Pixel und Überzeugung des Betrachters liegen nebeneinander, sind aber nicht austauschbar. Falsche Metadaten können unverändert kopiert werden. Richtige Metadaten können bei einer optisch verlustfreien Umwandlung verschwinden. Erfolgreiche Darstellung löst keinen der beiden Fälle.

Unsichtbare Farbe bleibt ein Datenwert

Der verlustfreie Modus rekonstruiert ARGB-Werte einschließlich der Farbkanäle von Pixeln mit Alpha null. Bei gewöhnlicher Komposition ist ein solches Pixel nicht sichtbar, seine roten, grünen und blauen Komponenten existieren dennoch.

Das ist kein Beleg für eine versteckte Botschaft in einer bestimmten Datei. Es ist ein Grund, unsichtbar und nicht vorhanden nicht gleichzusetzen. Eine spätere Operation kann Alpha entfernen, das Bild auf einen unerwarteten Hintergrund legen, Farbkanäle in Berechnungen verwenden oder anders transcodieren. Eine Datenschutzkontrolle, die nur das gerenderte Bild betrachtet, kann Daten übersehen, die eine Byte- oder Pixelprüfung findet.

Auch die Gegenrichtung ist möglich. Ein Optimierer kann Farbe unter transparenten Pixeln normalisieren, ohne die sichtbare Ausgabe zu verändern. Dann bleibt die Darstellung gleich, die decodierte Pixelmatrix aber nicht. „Verlustfrei“ beschreibt den festgelegten Codec-Rundweg; es verspricht nicht die Bewahrung des gesamten Containers durch jeden späteren Dienst.

Animationszeit entsteht erst im Leser

Ein animierter Frame enthält Position, Abmessungen, Dauer, Mischung und Löschverhalten. Die Dauer steht in Millisekunden, doch null — und häufig zehn Millisekunden oder weniger — bleibt der Interpretation der Implementierung überlassen. Viele Browser und Werkzeuge setzen eine Mindestdauer. Die Hintergrundfarbe kann nicht deckendes Alpha tragen und ist eher Hinweis als verbindlicher Anzeigewert.

Die Bytefolge ist deshalb keine vollständige Beobachtung. Wer behaupten will, was eine Person gesehen hat, muss Leser und Version, Zeitnormalisierung, Farbmanagement, Kompositionshintergrund und Wiedergabebedingungen erfassen; bei relevanten Folgen auch die Ausgabe selbst. Zwischen gespeicherter Anweisung und gesehenem Ereignis liegt Softwarepolitik.

Gültigkeit ersetzt kein Sicherheitsurteil

Der Sicherheitsabschnitt von RFC 9649 nennt Integerüberläufe, Lese- und Schreibzugriffe außerhalb von Grenzen, uninitialisierte Daten, Nullreferenzen, Speicher- oder Plattenerschöpfung und lange Berechnung. Dateien gelangen in Browser, Mailprogramme und Upload-Dienste. Folgen können Codeausführung, Informationsabfluss, Absturz oder Dienstverweigerung sein.

WebP besitzt keinen Mechanismus für aktive Inhalte. Seine Verarbeitung ist dennoch nicht passiv. Leinwandabmessungen steuern Zuteilungen. Animation vervielfacht Frames und Zustände. Präfixcodes, Transformationen und komprimierte Daten treiben komplexe Parser. EXIF, XMP und eigene Chunks können zusätzliche Interpreter erreichen.

Neben der Syntaxannahme braucht es daher einen Sicherheitsnachweis: Bibliothek und Version, Prozessisolation, Speicher- und Zeitgrenzen, maximale Abmessungen und Framezahl, aufgerufene Metadatenparser, Ergebnis sowie erzeugte Derivate. Eine formal richtige Datei darf eine lokale Ressourcenpolitik überschreiten. Eine fehlerhafte Datei kann von einem toleranten Leser teilweise angezeigt werden. Beides ist kein universelles Formaturteil.

Den Byte–Chunk–Darstellungsnachweis aufbauen

Am Anfang steht das exakte Eingangsobjekt. Es erhält einen Hash; Bytezahl, angegebener Medientyp, Dateiname und unabhängige Typprüfung werden festgehalten. Danach werden RIFF-Grenzen geprüft, ohne bereits Sicherheit zu behaupten. Für jeden Chunk werden FourCC, Offset, deklarierte Größe, Padding und Reihenfolge erfasst.

Jeder Chunk wird als rekonstruktionsnotwendig, bekannte Metadaten, bekannte Anwendungsdaten oder unbekannt klassifiziert. Die Operation vermerkt, ob sie ihn verstanden, ignoriert, bewahrt, entfernt, umgeordnet oder neu geschrieben hat. Bei doppeltem EXIF oder XMP wird die gewählte Instanz genannt. Für VP8X bleiben Abmessungen und Funktionsbits erhalten; für Animation Frame-Rechtecke, Dauer, Mischung und Löschung.

Der Decoder läuft in einer begrenzten Umgebung. Identität, Version und Ressourcenpolitik gehören in den Nachweis. Je nach Vergleichsziel werden Pixel oder Frames gehasht. ICC-Behandlung, Alpha, Hintergrund und Zeitnormalisierung werden erfasst. Jedes Derivat bekommt eigenen Hash und eigenes Inventar; die Bezeichnung „dasselbe Bild“ genügt nicht.

Zuletzt folgt die Auslieferung: Welches Objekt hat der Client tatsächlich geladen, welcher Decoder lief, wurden alle Frames abgespielt, welches Ergebnis wurde beobachtet? Der Vorrang des laufenden Codes setzt den letzten Maßstab. Die registrierte Grammatik definiert die Grenze, doch ausgeführter Leser und beobachtete Ausgabe bestimmen das Ereignis.

Kleine Spezifikation, sichtbare lokale Entscheidungen

RFC 9649 muss keine Verfassung der Provenienz werden. Seine Stärke ist der begrenzte Vertrag über Bytes und Rekonstruktion. Die minimale Anfangsspezifikation begründet, warum nur das für Interoperabilität Nötige standardisiert und der Rest als sichtbare, änderbare lokale Entscheidung behandelt werden sollte.

Eine Organisation kann Metadaten bei öffentlicher Auslieferung entfernen. Eine andere kann unbekannte Chunks im Archiv bewahren. Eine dritte kann Animation ablehnen, kleinere Leinwandgrenzen setzen oder ein extern signiertes Manifest verlangen. Solche Regeln sind legitim, wenn Name, Version, Verantwortlicher und Wirkung sichtbar sind. Gefährlich wird es, wenn „optimiert“ oder „bereinigt“ verbirgt, wer über das Überleben eines Belegs entschieden hat.

Der Schlusssatz muss eng bleiben. RFC 9649 kann zeigen, dass Bytes einer gemeinsamen WebP-Grammatik folgen. Es kann nicht zeigen, wer die enthaltenen Behauptungen erstellt hat, welche unbekannten Daten später wichtig werden, ob der Decoder sicher arbeitete, ob eine Transformation die Verwahrung erhielt oder was ein Mensch sah. Die Systeme, die diese Fragen entscheiden, müssen ihre eigenen Nachweise ausstellen.

Quellen